ESET alertó sobre llamadas fraudulentas detectadas en México en las que ciberdelincuentes falsifican el número telefónico mostrado en la pantalla de la víctima para hacerse pasar por bancos y otras organizaciones de confianza, una técnica conocida como caller ID spoofing.
La suplantación del identificador de llamadas busca aumentar la credibilidad del atacante y las posibilidades de que una persona responda y siga sus instrucciones. Mediante servicios de telefonía por Internet y otras plataformas, los delincuentes pueden hacer que aparentemente se muestre el número de un banco, dependencia gubernamental, empresa o persona conocida.
“Aunque cualquier persona puede ser víctima, los ciberdelincuentes comúnmente se enfocan en clientes de instituciones financieras, adultos mayores, personas que realizan compras en línea, personas que esperan un trámite, devolución o entrega, y empleados de empresas con acceso a información financiera o administrativa”, señaló David González, investigador de seguridad informática de ESET.
En mayo de 2026, la Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros registró nueve instituciones financieras afectadas por casos de suplantación de identidad. ESET aclara que no todos estos incidentes implicaron técnicamente caller ID spoofing, aunque sí contemplaron llamadas en las que delincuentes aparentaban representar a instituciones financieras.
Una vez establecida la comunicación, los atacantes utilizan técnicas de ingeniería social para generar urgencia, miedo o confianza. Entre los argumentos más comunes están supuestos cargos no reconocidos, movimientos sospechosos, bloqueos de cuentas o problemas de seguridad.
El objetivo puede ser obtener contraseñas bancarias, NIP, datos de tarjetas, información personal o códigos de seguridad, además de convencer a la víctima de realizar transferencias o instalar aplicaciones que permitan controlar remotamente su dispositivo.
Entre las señales de alerta, ESET identifica llamadas que solicitan información confidencial, códigos SMS o tokens; presionan para actuar inmediatamente; amenazan con bloquear cuentas o tarjetas; solicitan instalar aplicaciones o piden realizar transferencias para supuestamente proteger el dinero.
Para reducir el riesgo, la compañía recomienda no compartir contraseñas, NIP o códigos de verificación durante una llamada, evitar ingresar a aplicaciones bancarias mientras se mantiene la comunicación y colgar para contactar directamente a la institución mediante sus números oficiales.
También aconseja no considerar el identificador de llamadas como prueba suficiente de autenticidad y evitar instalar aplicaciones siguiendo instrucciones de un supuesto ejecutivo.
“El identificador de llamadas ya es insuficiente para verificar la autenticidad de una llamada. La mejor defensa sigue siendo corroborar cualquier situación directamente con la institución involucrada a través de sus canales oficiales”, concluyó González.
